Cartographier sa chaîne de valeur : pourquoi le risque tiers dépasse la simple fiche fournisseur
Pour les ETI, l'enjeu n'est plus de lister ses fournisseurs mais de comprendre qui intervient réellement, quels risques circulent et comment les décisions sont tracées.
Cartographier sa chaîne de valeur ne consiste plus seulement à tenir une liste de fournisseurs. Pour les ETI et les grandes organisations, l’enjeu est désormais de comprendre qui intervient réellement dans les activités de l’entreprise, quels liens existent entre les tiers, quels risques peuvent circuler dans ces relations et comment les décisions de contrôle sont prises, validées et documentées.
1. Constat
Dans beaucoup d’entreprises, la gestion des tiers commence encore par une fiche fournisseur. Elle contient une raison sociale, un numéro d'identification, une adresse, un contact, parfois quelques documents administratifs et un statut de validation. Cette base est utile. Mais elle donne une vision très partielle du risque.
Un fournisseur n’est pas seulement une ligne dans un référentiel achats. Il peut être un sous-traitant stratégique, un prestataire informatique, un intermédiaire commercial, un transporteur, un hébergeur de données, un partenaire de distribution ou un acteur intervenant dans une chaîne de production. Il peut aussi travailler pour plusieurs filiales, mobiliser ses propres sous-traitants, accéder à des données sensibles ou contribuer à une activité critique.
Cette évolution explique pourquoi les entreprises ne peuvent plus analyser le risque tiers uniquement à partir d’une fiche isolée. La chaîne de valeur correspond à l’ensemble des activités, ressources et relations qui permettent à l’entreprise de produire, vendre, livrer, exploiter ou sécuriser ses services. Dans une ETI industrielle, par exemple, elle peut inclure les fournisseurs de matières premières, les sous-traitants de production, les transporteurs, les prestataires de maintenance, les éditeurs SaaS, les cabinets externes, les partenaires commerciaux et les distributeurs.
Le contexte réglementaire renforce cette approche. La CSRD élargit l’analyse aux impacts, risques et opportunités liés à la chaîne de valeur amont et aval. NIS2 met l’accent sur la sécurité de la chaîne d’approvisionnement numérique. Sapin II impose d’évaluer les tiers exposés aux risques d’atteinte à la probité, avec une profondeur d’analyse adaptée au niveau de risque. Le RGPD oblige les entreprises à vérifier les garanties offertes par les sous-traitants qui traitent des données personnelles. Ces textes ne disent pas tous la même chose, mais ils poussent les organisations dans la même direction : mieux connaître les relations qui entourent l’entreprise et conserver la preuve des contrôles réalisés.
Les pratiques évoluent donc progressivement. Les directions achats ne peuvent plus être les seules à gérer l’information fournisseur. Les directions juridiques, conformité, cybersécurité, finance, RSE, contrôle interne et métiers doivent intervenir selon la nature de la relation. Un même tiers peut porter plusieurs risques à la fois : risque contractuel, dépendance opérationnelle, risque cyber, accès à des données personnelles, risque de corruption, risque ESG, risque financier ou risque de réputation.
Le sujet n’est donc plus seulement de savoir si un fournisseur est référencé. Il est de savoir dans quel processus il intervient, pour quelle entité, avec quels accès, quelles dépendances, quels sous-traitants, quelles validations et quelles preuves.
2. Pourquoi c’est difficile
La première difficulté vient de la dispersion des informations. Dans une ETI, les données relatives aux tiers sont souvent réparties entre plusieurs outils : ERP achats, base fournisseurs, contrats dans un outil juridique, questionnaires dans Excel, échanges par email, documents dans des dossiers partagés, tickets IT ou fichiers RSE. Chaque équipe détient une partie de l’information, mais aucune n’a toujours une vision complète de la relation.
Cette dispersion crée des angles morts. Un fournisseur peut être validé par les achats, mais ne pas avoir été revu par la cybersécurité alors qu’il accède au système d’information. Un prestataire peut être connu du juridique, mais absent du référentiel fournisseurs parce qu’il a été engagé directement par une direction métier. Un outil SaaS peut être utilisé par une équipe marketing sans revue RGPD ni validation de la DSI. Un sous-traitant de rang 2 peut intervenir dans une prestation critique sans être visible dans les bases internes.
La deuxième difficulté tient aux doublons. Lorsqu’un même tiers travaille avec plusieurs filiales ou plusieurs directions, il peut être créé plusieurs fois dans les systèmes internes. Chaque équipe renseigne alors sa propre version du tiers, avec ses propres documents, ses propres validations et ses propres commentaires. À court terme, cela peut sembler pratique. À long terme, cela rend la donnée difficile à exploiter.
Le risque est simple : l’entreprise croit connaître un tiers, alors qu’elle ne connaît qu’un fragment de la relation. Une filiale peut considérer le fournisseur comme peu critique, tandis qu’une autre dépend de lui pour une activité essentielle. Une équipe peut avoir identifié un risque cyber, sans que cette information soit reprise dans les discussions contractuelles. Une évaluation peut être à jour dans un outil, mais expirée dans un autre.
La troisième difficulté concerne la coordination entre les équipes. Cartographier une chaîne de valeur suppose de faire travailler ensemble des fonctions qui n’ont pas toujours les mêmes priorités. Les achats veulent sécuriser et fluidifier l’onboarding. Le juridique veut encadrer les responsabilités contractuelles. La conformité veut vérifier les risques d’intégrité. Le DPO veut s’assurer du respect du RGPD. Le RSSI veut contrôler les accès, les mesures de sécurité et la gestion des incidents. La finance peut vouloir analyser la solvabilité du tiers ou la dépendance économique.
Sans processus clair, ces interventions deviennent difficiles à organiser. Les validations circulent par email, les relances sont manuelles, les responsabilités sont mal définies et les décisions sont parfois prises sans que toutes les expertises nécessaires aient été mobilisées. En cas d’audit, il devient alors compliqué de démontrer qui a validé quoi, sur quelle base et à quel moment.
La quatrième difficulté est liée au suivi dans le temps. Une cartographie n’a de valeur que si elle reste vivante. Or, le risque tiers évolue : un fournisseur change de pays d’intervention, ajoute un sous-traitant, obtient un accès à de nouvelles données, perd une certification, connaît une difficulté financière ou modifie son infrastructure technique. Si la cartographie n’est pas actualisée, elle devient rapidement une photographie dépassée.
Pour les ETI, cette complexité est particulièrement sensible. Elles doivent répondre à des exigences proches de celles des grands groupes, notamment lorsqu’elles travaillent avec des clients exigeants ou des secteurs régulés, mais elles ne disposent pas toujours d’équipes nombreuses ni d’outils spécialisés. Le risque est alors de construire un dispositif trop lourd, peu utilisé par les métiers, ou au contraire trop léger pour être réellement exploitable.
3. Bonnes pratiques
Les organisations les plus matures commencent par élargir le périmètre de leur cartographie. Elles ne se limitent pas aux fournisseurs inscrits dans la base achats. Elles identifient les prestataires, sous-traitants, partenaires commerciaux, intermédiaires, consultants, éditeurs SaaS, hébergeurs, distributeurs et acteurs critiques de leur chaîne opérationnelle. L’objectif n’est pas de tout contrôler avec la même intensité, mais de savoir quels tiers peuvent exposer l’entreprise à un risque significatif.
La première bonne pratique consiste à qualifier chaque tiers selon le contexte de la relation. Un même fournisseur peut présenter un risque faible dans une prestation administrative et un risque élevé s’il accède à des données clients, opère une application critique ou intervient dans une zone géographique sensible. La qualification doit donc prendre en compte le type de prestation, les données traitées, les accès accordés, le montant du contrat, la dépendance opérationnelle, la localisation, la sous-traitance et les exigences réglementaires applicables.
La deuxième bonne pratique consiste à segmenter les tiers par niveau de criticité. Tous les tiers ne doivent pas suivre le même parcours. Un fournisseur à faible impact peut faire l’objet d’un contrôle documentaire simple. Un prestataire IT critique peut nécessiter une revue cyber, une analyse RGPD, des clauses contractuelles spécifiques et un suivi régulier. Un intermédiaire commercial dans un pays à risque peut déclencher une diligence anticorruption renforcée. Cette approche proportionnée permet de concentrer les efforts sur les relations les plus sensibles.
La troisième bonne pratique consiste à formaliser les rôles. Les métiers doivent pouvoir déclarer le besoin et fournir les premières informations. Les achats peuvent gérer le référencement et la relation fournisseur. Le juridique intervient sur les clauses, les responsabilités et les engagements contractuels. La conformité analyse les risques d’intégrité, de sanctions ou de blanchiment. Le DPO examine les traitements de données personnelles. Le RSSI évalue les accès, les mesures de sécurité et la continuité. La finance peut contribuer à l’analyse de solvabilité ou de dépendance.
Ce partage des rôles doit être simple à comprendre. Il ne doit pas reposer uniquement sur des procédures longues que les opérationnels ne consultent jamais. Les organisations efficaces mettent en place des parcours guidés : selon les réponses données au départ, le tiers est orienté vers le bon niveau de contrôle et les bonnes équipes sont sollicitées automatiquement.
La quatrième bonne pratique concerne la traçabilité. Une cartographie utile ne doit pas seulement présenter une liste de tiers à risque. Elle doit permettre de retrouver les éléments qui ont conduit à une décision :questionnaire rempli, documents analysés, réserves identifiées, validation obtenue, exception acceptée, plan de remédiation lancé, date de prochaine revue. Cette piste d’audit devient essentielle lors des contrôles internes, des audits clients, des contrôles réglementaires ou des revues de conformité.
La cinquième bonne pratique consiste à intégrer la cartographie dans les processus métiers. Le TPRM ne doit pas être un exercice réalisé une fois par an en dehors des opérations. Il doit être déclenché au moment où le risque apparaît : création d’un fournisseur, lancement d’un projet, signature d’un contrat, ouverture d’un accès informatique, recours à un sous-traitant, déploiement d’un outil SaaS ou renouvellement d’une prestation critique.
Enfin, les organisations les plus avancées cherchent à visualiser les liens entre les tiers. Elles ne regardent plus uniquement le fournisseur direct. Elles analysent aussi les filiales concernées, les sous-traitants, les bénéficiaires effectifs, les partenaires techniques, les prestataires de rang 2 ou les dépendances critiques. Cette analyse relationnelle permet de mieux comprendre les points de fragilité de la chaîne de valeur et d’anticiper les effets en cascade d’un incident.
4. Conclusion
Cartographier sa chaîne de valeur, ce n’est pas ajouter une couche de complexité à la gestion fournisseurs. C’est reconnaître que le risque tiers se construit dans les relations, les dépendances, les accès, les validations et les processus métiers. Pour les ETI et les grandes organisations, cette approche permet de passer d’une vision limitée du fournisseur à une compréhension plus utile de l’exposition réelle au risque.
Un dispositif TPRM efficace doit donc aider les équipes à identifier les bons tiers, appliquer les bons contrôles, impliquer les bonnes personnes et conserver la preuve des décisions. Découvrez comment Legalcluster s’inscrit dans cette logique en permettant de structurer, centraliser, tracer et piloter les évaluations de tiers depuis un cadre commun, sans transformer le TPRM en dispositif trop lourd pour les équipes métiers.
